Escaladarea locală a privilegiilor poate transforma un acces limitat în control deplin asupra unui sistem Linux. În loc să se bazeze doar pe o semnătură specifică de exploit, apărătorii pot vâna comportamente de execuție care indică faptul că un context de utilizator obișnuit a ajuns la execuție la nivel root.
Sursa definește o interogare de audit Linux pentru acest scenariu.
Acoperirea include CVE-2025-32463, CVE-2025-38352, CVE-2026-31431 și alte defecte de escaladare locală a privilegiilor.
Logica de detecție
Interogarea necesită:
identificatorul de utilizator efectiv
0, care reprezintă root;identificatorul original de audit al utilizatorului care corespunde unor utilizatori non-root selectați;
execuția unui shell sau a unui interpretor, ori un director de lucru aflat într-o locație temporară sau accesibilă prin web.
Interogare de detecție
rule.groups:audit and data.audit.euid:0 and data.audit.auid:("1000" or "1001" or "1002") and (data.audit.exe: (/bin/sh or /bin/bash or /usr/bin/dash or /usr/bin/python or /usr/bin/python3 or /usr/bin/perl) or data.audit.cwd: (/tmp* or /var/tmp* or /dev/shm* or */public_html*))Sursa a înregistrat zero rezultate în ultimele 30 de zile.
De ce contează contextul utilizatorului
Procesele la nivel root sunt normale pe sistemele Linux. Partea importantă este relația dintre privilegiile efective de root și contextul original al utilizatorului.
Un cont de utilizator standard care produce brusc un shell root din /tmp sau /dev/shm este mai interesant decât un serviciu de sistem cunoscut care rulează ca root din locația sa normală.
Flux de investigare
Dacă apare o potrivire, analizați:
utilizatorul original de audit;
utilizatorul efectiv;
executabilul;
procesul părinte;
directorul de lucru curent;
linia de comandă;
activitatea sudo;
crearea de fișiere imediat înaintea execuției;
istoricul de autentificare.
Stabiliți dacă escaladarea a fost o acțiune administrativă aprobată sau o modificare neașteptată de privilegii.
Ajustare
Interogarea din sursă listează identificatorii de utilizator de audit 1000, 1001 și 1002. În producție, aceste valori ar trebui adaptate la mediul local.
Fluxurile de lucru cunoscute ale administratorilor care folosesc sudo pot necesita profiluri de referință explicite, mai ales dacă execută în mod legitim shell-uri.
Corelare
Un eveniment de escaladare a privilegiilor ar trebui corelat cu:
execuția aplicațiilor web;
fișiere descărcate suspecte;
persistență;
modificări ale cheilor SSH;
reverse shell-uri;
evaziunea mecanismelor de apărare.
Un lanț de la un acces cu privilegii reduse la o aplicație până la execuția la nivel root oferă dovezi considerabil mai puternice.
Valoare operațională
Sursa nu a înregistrat nicio potrivire, ceea ce face din aceasta o vânătoare comportamentală cu volum redus.
Prin combinarea identității utilizatorului, a privilegiului efectiv, a tipului de executabil și a directorului de lucru, interogarea oferă o modalitate practică de a identifica execuția root suspectă în cadrul mai multor tehnici posibile de escaladare locală a privilegiilor.
